Nadzor usklađenosti s NIS2 i KSC: dokumenti, evidencije i testovi moraju činiti dosljedan dokazni trag

Nadzor usklađenosti s NIS2 i KSC ne svodi se na predočenje politika i postupaka. Nadzorno tijelo može provjeriti je li organizacija pravilno utvrdila opseg obveza, dodijelila odgovornosti, uvela sigurnosne mjere te može li njihovu primjenu dokazati ažurnim evidencijama, rezultatima testiranja i upravljačkim odlukama. Pripremu zato treba voditi prema jasnom dokaznom lancu: od obveze i rizika, preko primijenjene kontrole, do zapisa o provedbi, ocjene djelotvornosti i reakcije na utvrđeno odstupanje.

Nadzor provjerava sustav, a ne registrator

Polazište nije broj politika i postupaka, nego pravilno utvrđen opseg obveza. Organizacija mora moći pokazati koje usluge, procesi, informacijski sustavi, lokacije i ovisnosti o dobavljačima podliježu zahtjevima KSC-a te na temelju čega je takav zaključak donesen. Prije uređivanja dokumentacije uprava stoga treba potvrditi status subjekta i opseg usluga koje pruža, a zatim imenovati osobu odgovornu za pripremu nadzora.

Najveći dokazni rizik nastaje kada dokumentacija opisuje rješenja koja organizacija u praksi ne primjenjuje ili ih ne može potvrditi zapisima. To se osobito odnosi na preglede prava pristupa, procjene rizika, sigurnosne kopije, nadzor dobavljača i testove kontinuiteta poslovanja. Dokazi moraju činiti dosljedan lanac: zahtjev ili rizik, odluka, primijenjena sigurnosna mjera, odgovornost, zapis o provedbi, rezultat ocjene djelotvornosti i reakcija na utvrđeno odstupanje.

Nadzorno tijelo može krenuti od krovnog dokumenta, a zatim prijeći na operativni uzorak. Ako postupak upravljanja incidentima definira klasifikaciju i eskalaciju događaja, treba očekivati provjeru prijava, vremena odziva, donesenih odluka, komunikacije, zatvaranja predmeta i zaključaka nakon incidenta. Opseg sustava ne dokazuje se samo opisom, nego i mapom usluga i ovisnosti, popisom resursa, dodijeljenim vlasnicima te usklađenošću tih podataka s operativnim evidencijama.

Dokumentacija NIS2 i KSC prije nadzora: koje politike, evidencije i dokazi doista moraju biti dostupni treba odražavati funkcionalan mehanizam upravljanja, a ne zbirku predložaka. Nadzor nadležnog tijela pritom treba razlikovati od audita sustava upravljanja. Oba postupka mogu koristiti slične dokaze, ali se nadzorom ocjenjuje izvršavanje obveza koje proizlaze iz primjenjivih propisa i opsega nadležnosti, dok se auditom prema utvrđenim kriterijima ocjenjuju usklađenost i djelotvornost sustava. Pozitivan rezultat jednog postupka ne zamjenjuje drugi.

Opseg i odgovornosti pod povećalom

Prva skupina dokaza treba objasniti zašto organizacija podliježe određenim obvezama i gdje su granice nadziranog okruženja. Nadzorno tijelo može očekivati obrazloženje klasifikacije subjekta, identifikaciju reguliranih usluga te prikaz povezanih procesa, informacijskih resursa, sustava, lokacija i dobavljača. Opseg nije dovoljno opisati samo nazivom djelatnosti. Mora omogućiti praćenje usluge od poslovnog procesa, preko imovine koja ga podržava, do vanjskih ovisnosti.

Temelj pripreme jest ažuran opis opsega koji je odobrila uprava, dopunjen mapom usluga i procesa, popisom kritične imovine i strukturom odgovornosti. Dokumenti kojima se uspostavljaju uloge ne trebaju sadržavati samo nazive radnih mjesta, nego i ovlasti za prihvaćanje rizika, aktiviranje kriznih mjera, eskalaciju incidenata i donošenje odluka koje se odnose na dobavljače. Vlasnike usluga, imovine i rizika treba odrediti u skladu sa stvarnom podjelom nadležnosti.

Tipična nedosljednost nastaje kada je u registru naveden formalni vlasnik rizika, ali odluku o njegovu prihvaćanju donosi druga osoba bez odgovarajuće ovlasti i zapisa. Isti se problem pojavljuje kod iznimki od sigurnosnih mjera, kontinuiteta poslovanja i odobravanja dobavljača. Zapisnici sa sastanaka, odluke, odobrene procjene rizika, proračunske odluke i preispitivanja uprave trebaju dokazivati da je uprava upoznata sa značajnim rizicima, odlučuje o pitanjima koja prelaze operativne ovlasti i nadzire provedbu donesenih odluka.

Način klasifikacije, upisa u odgovarajući popis i nadležnosti tijela svaki put treba utvrditi prema aktualnom pravnom stanju i okolnostima konkretnog subjekta. Praktična razrada dostupna je u materijalu NIS2: samoprocjena i upis u popis KSC-a – što mora učiniti proizvodno poduzeće? Ako organizacija ima status ključnog subjekta, procjenu opsega treba povezati i s materijalom Obvezni audit KSC-a: koji se ključni subjekti moraju pripremiti za prvu ocjenu usklađenosti. Sam status ipak ne dokazuje da je uprava odobrila granice odgovornosti i osigurala njihovo periodično preispitivanje.

Evidencije pokazuju stvarnu praksu

Evidencija je dokaz kontinuiranog upravljanja samo ako odražava odluke i radnje provedene u procesima, a nije tek prilog postupku koji se povremeno popunjava. Prije odabira alata treba utvrditi obvezna polja, izvore podataka, vlasnike zapisa i pravila odobravanja izmjena. Proračunska tablica može biti dovoljna ako osigurava kontrolu pristupa, povijest izmjena, nedvosmislenu odgovornost i zaštitu od neovlaštenih promjena. Napredan alat neće osigurati vjerodostojnost podataka ako nije poznato tko, kada i na temelju kojeg događaja ažurira evidenciju.

Registar rizika treba povezivati scenarije prijetnji s uslugama i imovinom te navoditi vlasnika, postojeće kontrole, rezultat procjene, odluku o postupanju i status provedbe mjera. Nadzorno tijelo može provjeriti ima li rizik označen za smanjenje dodijeljenu aktivnost, rok i dokaz izvršenja, odnosno je li prihvaćeni rizik odobrila osoba s odgovarajućim ovlastima. Korisni upravljački pokazatelji uključuju broj otvorenih rizika, nedovršenih aktivnosti i odluka koje čekaju ponovno preispitivanje. To su pokazatelji koje određuje organizacija, a ne zakonski pragovi.

Registar incidenata i događaja treba omogućiti rekonstrukciju svih faza: otkrivanja, klasifikacije incidenta, eskalacije, odluke o prijavi, komunikacije, ponovne uspostave rada i formalnog zatvaranja s poukama. Povezani dokazi obuhvaćaju evidencije ranjivosti, sigurnosnih zakrpa i odobrenih iznimki, pregleda prava pristupa, izrade i obnove sigurnosnih kopija, konfiguracijskih promjena, administratorskih aktivnosti, osposobljavanja i vježbi.

Odgoda sigurnosne zakrpe treba biti sljediva od identificirane ranjivosti, preko procjene učinka i odluke o iznimci, do uspostave kompenzacijskih kontrola, roka ponovne procjene i potvrde zatvaranja. Sam popis neinstaliranih zakrpa ne pokazuje je li kašnjenje pod nadzorom.

Jednaku dosljednost zahtijeva upravljanje opskrbnim lancem. Popis ugovora ne zamjenjuje klasifikaciju dobavljača, procjenu ovisnosti usluga i imovine o vanjskim subjektima, definirane sigurnosne zahtjeve, zapise o pregledima ni odluke povezane s neprihvatljivim nedostacima. Iz evidencije mora biti vidljivo tko je odobrio dobavljača, koje su iznimke prihvaćene i kada slijedi ponovna procjena. Posebno treba pratiti dobavljače bez važeće procjene i neprovedene aktivnosti nakon pregleda. To je pitanje važno i tijekom provedbe programa Implementacija NIS2 nakon upisa u popis KSC-a – plan aktivnosti do 3. travnja 2027.

Pravila čuvanja, pristupa i odobravanja izmjena treba prilagoditi vrsti zapisa, njegovoj dokaznoj važnosti, zakonskim i ugovornim zahtjevima te potrebama analize incidenata. Jedinstveni rok čuvanja za sve evidencije ne treba određivati bez takve analize. Rokove za prijavu incidenata i način zaštite dokaza svaki put treba provjeriti prema važećim propisima i smjernicama nadležnog tijela. Širi katalog materijala opisan je u članku Dokumentacija NIS2 i KSC prije nadzora: koje politike, evidencije i dokazi doista moraju biti dostupni. Operativnu zrelost ipak određuju zapisi koji nastaju u svakodnevnom radu i vidljiva veza između zahtjeva, rezultata kontrole i korektivne radnje.

Svaki test mora završiti odlukom

Nadzorno tijelo može zatražiti više od plana kontinuiteta poslovanja, postupka odgovora na incidente ili potvrde o izradi sigurnosnih kopija. Važni su i dokazi da su ta rješenja provjerena u uvjetima koji odgovaraju stvarnim uslugama, tehnologijama i ovisnostima o dobavljačima. Program testiranja treba proizlaziti iz procjene rizika, kritičnosti usluge, promjena u okruženju te zakonskih i ugovornih zahtjeva. Ne postoji jedna odgovarajuća učestalost za sve kontrole. Češće treba provjeravati područja s velikim mogućim učinkom, ona koja se brzo mijenjaju ili ona u kojima su prethodni testovi otkrili značajna odstupanja.

Prije svakog testiranja treba definirati njegov predmet i kriterije uspješnosti. Zapis treba obuhvatiti opseg, scenarij, sudionike, okruženje, kriterije uspješnosti i dopuštena odstupanja, a nakon provedbe rezultat, odstupanja te stvarni ili potencijalni učinak na uslugu. Ako su utvrđeni nedostaci, dokazni materijal treba sadržavati korektivne radnje, njihove vlasnike, rokove provedbe i datum ponovne provjere.

Korisni pokazatelji uključuju stvarno vrijeme oporavka, ostvarenu točku oporavka, vrijeme eskalacije i udio aktivnosti zatvorenih nakon testa. Najozbiljnija organizacijska pogreška jest periodično provođenje testova bez kriterija uspješnosti ili bez zatvaranja otkrivenih nesukladnosti.

Ključna testiranja obuhvaćaju obnovu podataka iz sigurnosnih kopija, prebacivanje na pričuvna rješenja, vježbe odgovora na incidente, testove krizne komunikacije, preglede prava pristupa, obnovu konfiguracije i tehničku provjeru ranjivosti, uključujući skeniranje te, razmjerno riziku, penetracijska testiranja. Rezultat dobavljača može biti dio dokaza, ali ne zamjenjuje testiranje na strani organizacije ako ne obuhvaća njezine procese, integracije, odgovornosti i operativne uvjete.

Nakon svakog testa vlasnik usluge treba donijeti dokumentiranu odluku: prihvatiti rezultat, provesti korekciju, uspostaviti kompenzacijsku kontrolu, ponoviti test ili prihvatiti rizik u skladu s dodijeljenim ovlastima.

Uspješno izrađena sigurnosna kopija baze podataka još ne dokazuje sposobnost obnove usluge. Tijekom testiranja može se pokazati da aplikacija zahtijeva nedokumentiranu verziju konfiguracije, da mehanizam upravljanja identitetima ne radi u pričuvnom okruženju, da ključevi nisu dostupni ili da jedina osoba koja poznaje redoslijed pokretanja komponenti ne sudjeluje u obnovi. Tek provjera cijelog lanca ovisnosti omogućuje usporedbu stvarnog vremena i točke oporavka s prihvaćenim kriterijima, ocjenu učinka na uslugu i odluku o spremnosti ili potrebnim poboljšanjima.

Takav način dokumentiranja testova važan je neovisno o sektoru, uključujući analizu teme NIS2 za proizvodna poduzeća: na koga se odnosi, koje obveze uvodi i kako pripremiti organizaciju bez svođenja teme isključivo na IT. Opseg očekivanih dokaza treba povezati s obvezama koje se primjenjuju na organizaciju, njezinim uslugama i aktualnim pravnim stanjem. Ključan ostaje dosljedan slijed: prepoznati rizik, planirani test, mjerljiv kriterij, dokumentiran rezultat, odluka vlasnika i potvrda djelotvornog zatvaranja aktivnosti.

Nedosljednosti povećavaju trošak nadzora

Formalno potpuna dokumentacija gubi vrijednost ako ne odgovara stvarnom stanju. Nadzorno tijelo može usporediti izjave iz politika s konfiguracijom sustava, zapisima prijava, ugovorima, popisima pristupa, rezultatima skeniranja, zapisnicima testova i objašnjenjima vlasnika procesa. Nije riječ o uredničkoj usklađenosti, nego o mogućnosti praćenja odluke od utvrđene obveze i rizika, preko uvedene kontrole i zapisa o njezinu radu, do reakcije na odstupanje.

Probni nadzor prije početka službenih aktivnosti treba se temeljiti na ciljano odabranom uzorku usluga, incidenata, dobavljača i prava pristupa, nakon čega se preko dokumentacije dolazi do izvornih podataka. Tako se mogu otkriti neažuran popis imovine, različiti nazivi iste usluge u više dokumenata, rizici bez vlasnika, incidenti koji nisu uneseni u registar, dobavljači bez dokumentirane procjene te korektivne radnje zatvorene bez provjere djelotvornosti. Odstupanja treba uklanjati utvrđivanjem stvarnog stanja i vlasnika zapisa, a ne brzinskim ujednačavanjem dokumenata.

U proizvodnom poduzeću pregled se ne smije zaustaviti na uredskom IT okruženju. Za odabranu uslugu može obuhvatiti održavanje, automatizaciju, udaljeni servisni pristup, upravljanje konfiguracijom i ovisnosti među proizvodnim sustavima. Popis pristupa, primjerice, može izostaviti račun koji koristi serviser, iako ugovor, zapis veze i konfiguracija uređaja potvrđuju njegovo postojanje. Važnost takvih ovisnosti detaljnije prikazuje materijal NIS2 za proizvodna poduzeća: na koga se odnosi, koje obveze uvodi i kako pripremiti organizaciju bez svođenja teme isključivo na IT.

Certifikat sustava upravljanja može pomoći urediti upravljanje rizicima, nadzor dokumentacije, audite i korektivne radnje, ali ne zamjenjuje analizu pravnog opsega ni dokaze o ispunjavanju obveza koje se primjenjuju prema KSC-u. Ta je granica obrađena u članku NIS2 i HRN EN ISO 27001: što donosi certifikat, a što još nedostaje za usklađenost s KSC-om. Izostanak pojedinačnog zapisa ne mora automatski značiti neusklađenost, ali zahtijeva procjenu važnosti dokaza, uzroka nedostatka i mogućnosti potvrde rada kontrole drugim vjerodostojnim zapisima.

Trošak nadzora raste ponajprije kada su dokazi raspršeni, ovlasti nejasne, a nitko ne koordinira odgovore i odobravanje materijala koji se dostavljaju. Timovi tada tek tijekom nadzora ručno usklađuju proturječne podatke. Prethodno imenovanje koordinatora, vlasnika pojedinih dokaza i pravila za rješavanje nedosljednosti smanjuje radno opterećenje i rizik dostavljanja proturječnih objašnjenja nadležnom tijelu.

Spremnost se gradi probnim nadzorom

Interni probni nadzor treba započeti potvrdom statusa subjekta, opsega usluga obuhvaćenih obvezama te odgovornosti uprave i vlasnika procesa. Koordinator komunikacije s nadležnim tijelom zatim treba pripremiti matricu usklađenosti koja svaku obvezu povezuje s vlasnikom i dokazom. Tek se na toj osnovi provjeravaju uzorci zapisa, razgovara s odgovornim osobama i rekonstruira tijek odabranog incidenta ili testa. Ulogu koordinatora korisno je povjeriti osobi koja ima pristup upravi i može rješavati nedosljednosti, ali ne zamjenjuje stručne vlasnike dokaza.

Svaki vlasnik obveze treba moći pokazati:

• krovni dokument koji određuje način postupanja,
• zapis koji potvrđuje izvršenje obveze,
• pokazatelj djelotvornosti primijenjenog mehanizma,
• posljednju odluku donesenu na temelju preispitivanja.

Izostanak bilo kojeg od tih elemenata znači prekid dokaznog lanca. Postupak odgovora na incidente nije dovoljan ako organizacija ne može predočiti zapis događaja, vrijeme odziva, procjenu posljedica, rezultat analize uzroka i odluku o izmjeni sigurnosnih mjera. Rekonstrukcija slučaja otkriva i jesu li objašnjenja zaposlenika usklađena sa zapisima i stvarnim tijekom aktivnosti.

Probni nadzor treba obuhvatiti i logistiku: zaprimanje i evidentiranje zahtjeva, određivanje roka i vlasnika odgovora, odobravanje materijala, zaštitu osjetljivih informacija, označavanje predanih verzija te dokumentiranje dogovora s nadležnim tijelom. Korisno je uvježbati situaciju u kojoj traženi zapis sadrži podatke izvan predmeta nadzora ili zahtijeva dodatno objašnjenje konteksta. Tako se utvrđuje tko odlučuje o opsegu otkrivanja podataka i kako organizacija čuva trag predaje materijala.

Plan poboljšanja treba rangirati nedostatke prema učinku na uslugu, pravnoj izloženosti, vjerojatnosti otkrivanja i vremenu potrebnom za dobivanje vjerodostojnog dokaza djelotvornosti, a ne prema tome koliko je lako napisati još jedan postupak. Uprava odobrava prioritete, resurse i prihvatljivu razinu rizika. Aktivnost se može zatvoriti tek nakon ponovne provjere mehanizma.

Vremenski plan treba izvesti iz stvarnog statusa subjekta, komunikacije s nadležnim tijelom i važećih propisa. Nakon utvrđivanja statusa analizu mogu dopuniti materijali NIS2: samoprocjena i upis u popis KSC-a – što mora učiniti proizvodno poduzeće? te Implementacija NIS2 nakon upisa u popis KSC-a – plan aktivnosti do 3. travnja 2027. Datume i obveze navedene u tim materijalima svaki put treba potvrditi prema aktualnom pravnom stanju.